Entrevista: Por que os hackers continuam a atacar protocolos DeFi, soluções

Resumo TL;DR

• A frequência com que os hackers atacam criptomoedas e protocolos DeFi continua a aumentar.
• Mais de US$ 7 bilhões perdidos em ataques à indústria de criptomoedas em 2021.
• Por que os hackers continuam a visar a indústria de Criptomoedas.

A frequência com que os hackers atacam o espaço DeFi e, por extensão, a indústria de criptomoedas, continuou a ser uma fonte de preocupação para o setor.

Segundo relatos, 169 incidentes de hacking em blockchain ocorreram em 2021, com quase US$ 7 bilhões em fundos perdidos para hackers. No último mês, não menos do que cinco casos de hack em criptomoedas foram reportados, com o protocolo DeFi Cream Finance sendo o mais recente a ser atingido por esses hackers. Mais de US$ 130 milhões teriam sido roubados.

Em resposta a isso, o Cryptopolitan conversou com Dmitry Mishunin, CEO e Fundador da HashEx, uma empresa de P&D focada na integração de blockchain em processos de negócios e segurança cibernética. Dmitry possui uma sólida formação técnica em segurança cibernética e aplicativos descentralizados, bem como experiência impressionante no desenvolvimento de sistemas de segurança da informação.

Abaixo estão trechos da entrevista

P: Você está surpreso com o número de hacks e explorações que os usuários estão enfrentando recentemente?

Infelizmente, não. Estamos vendo que cada vez mais pessoas estão escrevendo seus contratos inteligentes. Mas muitas vezes elas não possuem conhecimento de programação suficiente e uma boa compreensão do Solidity – atualmente a única linguagem de programação compatível com Ethereum. Ter uma boa compreensão da linguagem de programação é essencial para criar um protocolo DeFi confiável, e não conhecer algumas de suas nuances pode facilmente levar a explorações e fundos roubados.

P: Como aceitar ou assinar um contrato inteligente que contém código malicioso pode levar ao roubo dos seus ativos?

Cada usuário deve saber que as transações blockchain são irreversíveis: uma vez que você aprova uma certa quantidade de um token ERC-20 para um contrato inteligente ERC-20, ela será transferida irreversivelmente para ele. Um contrato pode ter código fonte verificado sem explorações, mas também pode ter alguma biblioteca não verificada como dependência. Aprovar tokens para tal contrato é um grande risco porque você não pode verificar como a biblioteca funciona.
Esse foi o caso do projeto StableMarket, quando pelo menos US$ 27 milhões em fundos dos usuários foram roubados. Os contratos do projeto StableMarket tinham código auditado, mas foram implantados com uma biblioteca não verificada. Essa biblioteca era maliciosa e roubou os tokens dos usuários armazenados no protocolo.

Outro risco para os usuários é aprovar tokens para um contrato inteligente atualizável: tal contrato pode ser atualizado automaticamente com código malicioso e roubar os tokens aprovados.
Muitas vezes, os aplicativos frontend aprovam quantidades máximas de tokens para um contrato, não apenas a quantidade de token que será usada. Isso é feito para pagar o gás em uma única transação. Se um usuário depositar tokens em um contrato, ele precisará pagar adicionalmente pelo gás. Mas se um contrato agir maliciosamente, nesse caso, ele pode retirar qualquer quantidade de tokens da carteira.

Portanto, a melhor prática para máxima segurança é sempre verificar o valor da aprovação e aprovar apenas a quantidade necessária para a operação do contrato.

P: Os hackers estão ficando mais inteligentes ou os usuários de criptomoedas estão se tornando menos cautelosos com seus procedimentos de segurança cibernética?

Ambas as afirmações são verdadeiras. Os hackers fizeram progressos sérios na exploração de plataformas de empréstimos flash em conjunto com diferentes protocolos para criar e explorar vulnerabilidades. Por si sós, essas outras plataformas são seguras na maior parte do tempo, mas os empréstimos flash criam mais complexidade estrutural, o que torna as vulnerabilidades mais frequentes.

Esses ataques são muito complexos. Até mesmo sua análise leva muito tempo. Além disso, há muitos hacks de projetos que simplesmente têm código ruim com bugs simples que provavelmente seriam eliminados se testes fossem feitos ou se o código fosse devidamente auditado.
Parte da culpa também recai sobre os usuários, porque muitos deles conhecem as práticas seguras que minimizam os riscos, como o armazenamento a frio, por exemplo. Mas eles muitas vezes os ignoram, perdendo a cabeça diante de uma oportunidade que pode trazer um ROI múltiplo. Às vezes, eles acabam simplesmente perdendo seu dinheiro.

P: Como os usuários podem proteger melhor seus ativos no Metamask e dapps associados, como OpenSea e DeFi?

A melhor proteção é não armazenar todos os ativos em carteiras quentes, mas enviá-los para carteiras frias: estas últimas não têm acesso à Internet. É melhor armazenar apenas uma pequena quantidade de ativos necessários para as operações em carteiras quentes e manter o resto em armazenamento a frio.
Além disso, os usuários devem seguir as regras padrão de segurança: usar antivírus, evitar abrir links suspeitos em e-mails e usar autenticação de dois fatores quando possível.

P: Você acha que hacks e explorações se tornarão mais comuns à medida que a indústria cresce?

À medida que a indústria cresce e mais projetos são lançados, mais deles enfrentarão o risco de serem hackeados. Você não pode eliminar todos os bugs em todos os projetos, mas as empresas de segurança blockchain estão constantemente trabalhando para minimizá-los. Isso não inclui apenas auditorias do código fonte dos projetos, mas também o desenvolvimento de ferramentas analíticas que ajudarão a impedir que os bugs apareçam totalmente ou, pelo menos, a encontrá-los nas etapas iniciais do desenvolvimento.

P: Qual é o papel da HashEx na expansão da indústria de criptomoedas?

Esclarecemos as pessoas sobre a transparência e a segurança do uso de aplicativos descentralizados. A lógica de seu funcionamento é muito complexa e pouco clara para que um usuário comum entenda. Além disso, nenhuma pessoa sensível confiaria seu dinheiro a algo que não entende, como Pinóquio no campo dos Milagres. Explicamos noções complexas em termos simples e trazemos à tona as armadilhas das quais as pessoas devem estar cientes e tentar evitar, e também ajudamos potenciais investidores a tomar uma decisão bem informada sobre seus fundos.

Mas, principalmente, somos uma empresa de auditoria centrada em DeFi e criptomoedas. Isso significa que fazemos muitas auditorias de contratos inteligentes e, assim, ajudamos os projetos de criptomoedas a ganhar a confiança dos investidores, pois os investidores confiam mais nos projetos que são bem protegidos contra erros custosos que poderiam afetar financeiramente seus investidores.

P: Quais são seus pensamentos sobre as declarações do G7 e do presidente dos EUA Joe Biden sobre seus movimentos para acabar com o ransomware, a segurança cibernética e os frequentes hacks de criptomoedas?

A melhoria constante dos padrões de segurança é parte de nossa rotina e ideologia corporativa. Buscamos trazer confiança para o espaço DeFi, que é sem confiança. E essa questão é crucial em qualquer domínio de TI, não apenas no DeFi. Com o surgimento rápido de novos produtos de software, o aspecto da segurança cibernética infelizmente não está recebendo a devida atenção, o que cria oportunidades para hackers explorarem. Existem duas razões principais para isso: a programação de 'clique de mouse' e uma força de trabalho de baixa qualidade que recebe salários desnecessariamente altos.

Este é um ponto negativo dos negócios de TI em rápido crescimento. Neste ambiente de todos contra todos, as empresas tentam superar umas às outras, oferecendo novos produtos e, muitas vezes, fechando os olhos para questões de segurança, apesar de sua importância. Como resultado, às vezes temos grandes sistemas, usados por um grande número de clientes, que ainda possuem bugs que podem levar à perda dos fundos dos usuários. Às vezes, as consequências desses bugs podem ser até mesmo continentais.

Nesse sentido, a interferência governamental é totalmente justificada. Se não fosse pelo envolvimento dos governos estaduais com essas questões, quem mais restringiria os empresários gananciosos e os convenceria a dedicar esforços a medidas de segurança e ao desenvolvimento de software de maneira sensata?

Se as pessoas começarem a reportar hacks às agências governamentais, isso terá um efeito positivo. Informações oportunas podem ajudar a minimizar as consequências de uma possível falha, permitindo o engajamento de canais de reserva (a situação com o fornecimento de petróleo para a Costa Leste dos EUA pode ser vista como um bom exemplo dessa prática).

Padrões de segurança unificados em toda a indústria também seriam benéficos, se forem desenvolvidos por especialistas, e não por outsiders. Mesmo na fase inicial atual do desenvolvimento de DApps, estamos vendo esses padrões sendo implementados pelos principais auditores. A integração de tais protocolos ajudará a todos: tornará a programação mais fácil, os códigos mais seguros e protegerá os fundos dos usuários também.

P: Esses hacks, fale sobre seu impacto na indústria de criptomoedas

O feedback para a indústria de criptomoedas é uma tentativa de controlar os fundos roubados. Acho que é uma coisa boa. Atualmente, você não pode obter todos os amenidades do mundo real via criptomoeda. Essa situação está mudando dia a dia, mas está longe de ser perfeita. Portanto, os hackers ainda exigem uma ponte entre fundos cripto e fiduciários para retirar fundos adquiridos ilegalmente.

Este é o estágio no qual os criminosos podem ser identificados. Quanto mais forem encontrados, menos estarão dispostos a tentar fazê-lo novamente. Pode-se pensar em como costumavam cortar partes do corpo por roubo nas culturas orientais. Tais intervenções das agências de aplicação da lei estão tendo uma influência totalmente positiva na indústria de criptomoedas e em sua reputação. Essas ações fazem as pessoas se sentirem mais seguras.

P: Atores/jogadores ruins por trás de muitos desses hacks de criptomoedas, quais sanções você recomendaria para desencorajar outros?

Como disse antes, sou a favor de penalizar tais indivíduos. Eu consideraria essas operações como fraude financeira de varying grau de severidade, e aplicaria ação legal correspondente a eles. Eu não estaria tentando elaborar novas leis neste momento.

P: Um mundo cripto sem hacks é quase impossível de ser alcançado, como as partes interessadas, formuladores de políticas e todos os outros podem reduzir os ataques ao mínimo absoluto?

Qualquer domínio de TI é inconcebível sem ameaças cibernéticas. Mas quando falamos sobre negócios ordinários, vemos apenas a ponta do iceberg, não o quadro geral. Há muitos mais hacks acontecendo que não chegam aos olhos porque as empresas poderiam prejudicar sua reputação se esse conhecimento se tornasse público. Com criptomoedas, tudo é transparente e publicamente conhecido, então a mídia de massa escreve sobre essas coisas com mais frequência.

A segurança cibernética é uma prática multidimensional, que inclui estruturas regulatórias nos pontos de saída e entrada de cripto para fiduciário, educação do usuário, equipes de segurança cibernética verificando o código, etc. Esta indústria ainda é jovem, o que oferece uma excelente oportunidade de direcioná-la pelos vetores corretos de desenvolvimento. Dessa forma, podemos fazer uso de práticas mais seguras desde o início, em vez de tentar remendar buracos em algum lugar no futuro.